Javascript: Community startet Fork für sabotiertes NPM-Paket
Das millionenfach genutzte NPM-Paket Faker ist in der vergangenen Woche von seinem Hauptentwickler Marak Squires sabotiert worden und hat nun offenbar in einem Community-Fork eine neue Heimat gefunden. Das ergibt sich zumindest aus der dazugehörigen Ankündigung des Teams, das auf seiner Webseite schreibt(öffnet im neuen Fenster), dass der vorhergehende Maintainer das Paket aufgegeben hat. Weiter heißt es: "Wir verwandeln Faker jetzt in ein von der Community kontrolliertes Projekt, das derzeit von acht Ingenieuren mit unterschiedlichen Hintergründen und Unternehmen gepflegt wird."
Als Reaktion auf die Ereignisse der vergangenen Woche bildeten sich schnell mehrere Forks von Faker mit verschiedenen Intentionen und Unterstützern des Projekts. Eigenen Aussagen zufolge(öffnet im neuen Fenster) repräsentiere das nun vorgestellte Community-Projekt für Faker "sämtliche aktiven Forks" des ehemaligen Codes und habe diese zusammengeführt. Alle diejenigen, die ebenfalls an dem Code arbeiten, sollen sich an das Projekt wenden und sich dort einbringen, heißt es in der Ankündigung.
Das neue Team schreibt darüber hinaus, dass es in Kontakt mit der Organisation Open Collective getreten ist, das bisher die Spenden für Faker gesammelt hat. In Zusammenarbeit mit den Betreibern von Open Collective habe das neue Betreuerteam von Faker es außerdem geschafft, die Spenden auf sich zu leiten. Das heißt, wiederkehrende Spenden für Faker gehen künftig an das neue Team, nicht mehr an den ehemaligen Hauptentwickler.
Forks haben klassische Probleme
Für das Community-Projekt bleibt aber weiterhin das Problem, dass das NPM-Paket selbst in der Paketquelle noch seine alte Position belegt(öffnet im neuen Fenster) und dort der Fork eben nicht in dem alten Namensraum verfügbar ist. Das Projekt hat damit das übliche Problem aller Forks, dass Nutzer selbstständig auf den Fork wechseln müssen. Das gilt ebenso für das zweite sabotierte Paket Colors(öffnet im neuen Fenster). Auch dessen Code wird derzeit von einem der Co-Betreuer weiter als Fork gepflegt(öffnet im neuen Fenster), in den offiziellen Paketquellen zeigt sich das aber eben noch nicht.
Offen ist hier weiterhin, ob und inwiefern Github sich als Besitzer von NPM künftig aktiv zu den Vorfällen und den Forks positioniert. Zwar hatte das Unternehmen zwischenzeitlich den Zugriff von Squires auf seine Repositorys entzogen, dies wohl aber wiederhergestellt. Mit seiner Hoheit über das NPM-Repository könnte Github einfache Verweise auf die Forks setzen und damit sämtliche bisherigen Nutzer migrieren. Das wiederum könnte aber einen ungewöhnlichen Präzedenzfall schaffen.
- Anzeige Hier geht es zum Handbuch für Softwareentwickler bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.